Remote File Inclusion (RFI) zəifliyi nədir?
Müasir veb tətbiqlər faylların dinamik şəkildə yüklənməsi üçün müxtəlif mexanizmlərdən istifadə edir. Bu mexanizmlərin düzgün qorunmaması ciddi təhlükəsizlik risklərinə səbəb olur. Belə kritik zəifliklərdən biri də veb tətbiqlərdə uzaqdan kod icrasına şərait yaradan Remote File Inclusion (RFI) zəifliyidir.
RFI, veb tətbiqin uzaq mənbədə yerləşən faylı öz daxilində yükləməsinə və bəzi hallarda icra etməsinə imkan verən təhlükəsizlik boşluğudur. Bu zəiflik, tətbiqin istifadəçi tərəfindən daxil edilən məlumatları yoxlamadan fayl yolu kimi qəbul etməsi nəticəsində yaranır. Nəticədə, kibercinayətkarlar öz serverlərindəki zərərli faylın ünvanını parametr vasitəsilə tətbiqə ötürərək sistemə sızırlar.
RFI zəifliyinin mümkün təsirləri:
- Server üzərində uzaqdan kod icrası (RCE)
- İcazəsiz sistem girişlərinin əldə olunması
- Məxfi məlumatların oğurlanması və ya silinməsi
- Veb tətbiqin tam nəzarətə götürülməsi
- Zərərli proqramların yerləşdirilməsi
- Daxili şəbəkəyə keçid imkanının yaranması
- Xidmətin fəaliyyətinin pozulması (DoS)
Qorunma yolları:
- ✔ Giriş yoxlaması: İstifadəçi tərəfindən daxil edilən məlumatları ciddi şəkildə validasiya edin.
- ✔ Məhdudlaşdırma: Dinamik fayl daxil etmə mexanizmlərini minimuma endirin.
- ✔ Allowlist yanaşması: Fayl seçimi üçün yalnız təsdiqlənmiş (allowlist) siyahıdan istifadə edin.
- ✔ Deaktivasiya: Uzaq mənbələrdən fayl yüklənməsi imkanlarını (məsələn, allow_url_include) deaktiv edin.
- ✔ WAF istifadəsi: Veb Tətbiq Firewall (WAF) tətbiq edərək zərərli sorğuları bloklayın.
- ✔ Yoxlamalar: Mütəmadi penetrasiya testləri və kod analizləri keçirin.
RFI zəifliyi düzgün qorunmayan tətbiqlərdə ciddi problemlərə yol açır. Tətbiqlərin işlənməsi zamanı təhlükəsiz proqramlaşdırma prinsiplərinə riayət etmək və mütəmadi yoxlamalar aparmaq xüsusi əhəmiyyət daşıyır.
CYBERSIGN, şirkətlər üçün kibertəhlükəsizlik maarifləndirmə təlimlərinin təşkili və şirkət təhlükəsizliyinin təmin edilməsi üçün kibertəhlükəsizlik xidmətlərini təklif edir.